Кандидатствате за киберзастраховка, подновявате полица или попълвате раздела за ИТ сигурност, който професионалните застрахователи все по-често включват? Въпросите са технически: многофакторно удостоверяване, резервни копия, защита на крайните точки, актуализации, администраторски акаунти, сигурност на имейла, реакция при инциденти. Cyber Insurance Express ви помага да подготвите всеки отговор въз основа на това, което е действително конфигурирано във вашия наемател на Microsoft 365, и ясно ви казва на кои въпроси Microsoft 365 не може да отговори.
Въпросникът за сигурност се е превърнал в централна част от покупката или подновяването на киберзастраховка и рядко е лесен за точен отговор.
Задължително ли е многофакторното удостоверяване за всеки отдалечен достъп и за всеки администратор? Съхраняват ли се резервните копия офлайн или са неизменяеми, и тествано ли е възстановяването? Има ли инструмент за откриване и реакция на всички крайни точки? Изключено ли е наследеното удостоверяване на имейл? Собственикът на бизнеса, финансовият директор или дори претоварен ИТ специалист с широк профил рядко има тези отговори под ръка, при това подкрепени с доказателства.
Въпросникът е част от начина, по който застрахователят разбира риска, който поема. Отговор, който се оказва неточен, може да породи спор със застрахователя, особено след инцидент. Точните последици зависят от договора ви и от приложимото право: проверете ги с вашия брокер или застраховател. Вие контролирате точността на това, което декларирате.
Ръчната проверка на политиките за условен достъп, назначенията на администраторски роли, протоколите на пощенските кутии, DNS записите за удостоверяване на имейл, съответствието на устройствата и одитния дневник е часове работа в няколко административни портала. В малка или средна компания тази работа се конкурира с всичко останало, което ИТ екипът трябва да свърши.
Нова кандидатура, годишно подновяване, смяна на брокер или застраховател, тръжна процедура на голям клиент, който пита за застрахователното ви покритие: същите въпроси се връщат, често с различна формулировка. Без структурирано досие с доказателства всеки кръг започва от нулата и предишната работа се губи.
Всеки застраховател изготвя собствен въпросник, а формулировките се променят от формуляр на формуляр и от година на година. Темите по-долу са тези, които се срещат често. Те са описани тук като повтарящи се теми, а не като цитат от формуляра на конкретен застраховател.
За всяка тема обясняваме какво обикновено се опитва да установи въпросът, какво може да покаже вашият наемател на Microsoft 365 като доказателство и какво остава извън Microsoft 365 и трябва да се документира по друг начин. Връзките водят към публичната документация на Microsoft за съответната функция.
Какво обикновено се пита: изисква ли се MFA за имейл, за отдалечен достъп, за облачни приложения и за всеки администраторски акаунт, с или без изключения?
Какво може да покаже Microsoft 365: дали са включени настройките по подразбиране за сигурност или кои политики за условен достъп изискват MFA, за кого се прилагат и кой е изключен; методите за удостоверяване, регистрирани от потребителите; дали наследените протоколи за удостоверяване, които не могат да пренасят MFA, са блокирани.
Извън M365: VPN, шлюз за отдалечен работен плот или бизнес приложение, което не влиза чрез Microsoft Entra ID, трябва да се документира отделно.
Какво обикновено се пита: има ли резервни копия на критичните системи и данни, изолирано ли е поне едно копие от мрежата или защитено срещу промяна, колко често се правят и кога за последно е тествано възстановяване?
Какво може да покаже Microsoft 365: малко, що се отнася до този въпрос. Настройките за запазване в Microsoft 365 не представляват резервно копие, изолирано от вашите собствени администраторски акаунти, и няма да ги представяме като такова.
Извън M365: вашето решение за резервни копия, изолацията на неговите копия и вашите доклади от тестове за възстановяване. Онлайн семинарът ви моли да ги опишете и да прикачите собствените си доказателства, а документът обозначава този отговор като деклариран, а не като измерен.
Какво обикновено се пита: защитени ли са всички работни станции и сървъри с инструмент за откриване и реакция на крайни точки (EDR), наблюдава ли се той и криптирани ли са устройствата?
Какво може да покаже Microsoft 365: когато устройствата се управляват с Microsoft Intune и са защитени с Microsoft Defender: инвентара на устройствата, резултатите от политиките за съответствие (например криптиране и минимална версия на операционната система) и препоръките за сигурност, отчетени в Microsoft Secure Score.
Извън M365: EDR на трета страна, неуправлявани устройства и локални сървъри, които не са регистрирани в инструментите на Microsoft. Те се маркират, не се предполагат.
Какво обикновено се пита: колко бързо се прилагат актуализациите за сигурност, използват ли се още операционни системи без поддръжка и се проследяват ли критичните уязвимости на системи, достъпни от интернет?
Какво може да покаже Microsoft 365: за устройства, управлявани с Intune: правилата за съответствие относно минималните версии на операционната система и кои устройства не ги изпълняват; там, където има лиценз, препоръките на Defender.
Извън M365: мрежово оборудване, защитни стени, сървъри и приложения за бизнес дейности, и самата ви процедура за актуализации. Семинарът ви помага да я опишете на ясен език.
Какво обикновено се пита: колко души имат администраторски права, използват ли администраторите отделни акаунти за ежедневната работа, изисква ли се MFA за тях и е ли ограничен във времето или одобряван привилегированият достъп?
Какво може да покаже Microsoft 365: кой притежава коя администраторска роля в Microsoft Entra, дали назначенията са постоянни или при поискване чрез Privileged Identity Management (където има лиценз), и дали MFA се прилага за тези роли.
Извън M365: локалните администраторски акаунти на сървъри и работни станции, домейн администраторите в локален Active Directory и административният достъп до системи на трети страни.
Какво обикновено се пита: налични ли са SPF, DKIM и DMARC, филтрират ли се фишинг и зловредни прикачени файлове, изключени ли са наследените протоколи за пощенски кутии и контролирано ли е автоматичното пренасочване към външни адреси?
Какво може да се покаже: публикуваните SPF и DMARC записи на вашите домейни (публични DNS данни), конфигурацията за подписване с DKIM, политиките за защита на Exchange Online и Defender for Office 365, и протоколите, разрешени за пощенските кутии.
Извън M365: шлюз за имейл на трета страна, поставен пред Microsoft 365, и обучение на потребителите за осведоменост, което документирате сами.
Какво обикновено се пита: има ли писмен план за реакция при инцидент, кого да потърсите първо, тестван ли е и се пазят ли дневниците за сигурност достатъчно дълго, за да може да се разследва?
Какво може да покаже Microsoft 365: дали единният одитен дневник е активен и може да се търси в него, и срокът на съхранение, който се прилага към него. Microsoft документира, че Audit (Standard) е включен по подразбиране за организации с подходящ абонамент и пази записите 180 дни.
Извън M365: самият план. Семинарът създава първа чернова на кратък план за реакция, включително, за организации във Франция, навика да се подаде сигнал до органите в срок от 72 часа (вижте по-долу).
Въпросниците често питат и за броя на служителите и съхраняваните записи, за предишни инциденти, за използването на доставчици на услуги с достъп до вашите системи, за криптиране на данните и за обучение по сигурност. Някои от тях са факти, които само вие можете да декларирате. Други, като настройките за външно споделяне или гостевите акаунти в Microsoft 365, могат да се измерят.
Самият Microsoft Secure Score заявява, че не е абсолютна мярка за вероятността да бъдете пробив. Използваме измерени настройки като доказателство за конкретни отговори, никога като гаранция.
Откъде идва всеки отговор и как ще бъде обозначен във вашия документ.
| Тема | Откъде идват доказателствата | Обозначение във вашия документ |
|---|---|---|
| MFA | Microsoft Entra ID: настройки по подразбиране за сигурност, политики за условен достъп, регистрирани методи за удостоверяване, статус на наследеното удостоверяване | Измерено, с изключенията, посочени по име на политика или група |
| Резервни копия | Вашият инструмент за резервни копия и доклади от тестове за възстановяване | Декларирано от вас, с вашите приложения |
| Защита на крайните точки | Intune и Defender, когато се използват; иначе конзолата на вашия EDR | Измерено за управляваните устройства; декларирано за останалите |
| Актуализации | Резултати от съответствие в Intune; вашата процедура за сървъри и мрежово оборудване | Частично измерено, частично декларирано |
| Привилегировани акаунти | Назначения на роли в Microsoft Entra, Privileged Identity Management, където има лиценз | Измерено за Microsoft 365; декларирано за локалната инфраструктура |
| Сигурност на имейла | Публичен DNS (SPF, DMARC), конфигурация на DKIM, политики на Exchange Online и Defender for Office 365 | Измерено |
| Реакция при инциденти и дневници | Състояние на единния одитен дневник; вашият писмен план | Дневниците са измерени; планът е изготвен в семинара и валидиран от вас |
Просто правило: нищо в документа не се представя като измерено, ако не е било измерено. Въпрос, на който Microsoft 365 не може да отговори, остава видимо маркиран като такъв, за да решите вие, а не инструмент, какво да декларирате пред вашия застраховател.
Път на самообслужване в четири стъпки. Вие контролирате процеса от първия въпрос до крайния документ.
Кратък онлайн тест: кандидатствате ли за киберзастраховка, подновявате ли я, или попълвате раздела за ИТ сигурност на професионална застраховка или друга полица? Намира ли се вашата компания във Франция, където важи 72-часовото правило за подаване на сигнал? Кои части от вашата ИТ среда работят на Microsoft 365? Резултатът показва кои теми се отнасят до вас и какво ще трябва да съберете.
Онлайн семинарът ви води през всяка тема. Отговаряте свободно, в собствения си темп, с обяснения какво означава всеки въпрос и защо застрахователите го задават. Когато Microsoft 365 може да предостави доказателство, измереният резултат се поставя до вашия отговор, така че всяка разлика между това, което вярвате, и това, което е конфигурирано, става видима, преди да декларирате каквото и да е.
Получавате структуриран документ от името на вашата компания: отговори по тема, доказателствата към всеки от тях, маркирани точки извън обхвата и първа чернова на лист за реакция при инцидент. Това е работна основа, която вашият собствен консултант, брокер или юрист трябва да прегледа и валидира, преди да я използвате.
Ако искате втори поглед, партньорски консултант може да прегледа документа с вас, да помогне за затваряне на пропуските преди подновяването или да помогне за документиране на точките, които са извън Microsoft 365. Тази стъпка е по избор; първите три стъпки са създадени да бъдат завършени самостоятелно.
Важно: документът е работна основа и не представлява правен съвет. Той не замества въпросника на вашия застраховател, който попълвате и подписвате сами, и не задължава никой застраховател да ви покрие. Точността на окончателната ви декларация остава ваша отговорност.
Едно досие с доказателства, честен за това какво е измерено и какво не, който можете да използвате повторно при всяко подновяване.
Ясен отговор за всяка повтаряща се тема, готов за пренасяне във формуляра на вашия застраховател.
Настройките, които подкрепят всеки отговор, така както са открити във вашия наемател към датата на измерването.
Когато вашият отговор и измерената конфигурация не съвпадат, това се показва първо тук.
Кратка първа чернова, която да попълните със собствените си контакти и да валидирате вътрешно.
Всяко правно или регулаторно твърдение в документа сочи към своя официален източник.
Следващата година измерете отново и сравнете, вместо да започвате отначало.
Две минути, за да отделите правното задължение от добрата практика, с официалния източник във всеки случай.
От 24 април 2023 г. член L12-10-1 от Френския застрахователен кодекс обуславя всяко застрахователно плащане, компенсиращо загуби и вреди, причинени от атака срещу автоматизирана система за обработка на данни, от подаването от пострадалия на сигнал до компетентните органи не по-късно от 72 часа след като е научил за атаката. Срокът започва да тече, когато научите за атаката, а не когато тя е започнала.
Членът е създаден с член 5 от Закон № 2023-22 от 24 януари 2023 г. (известен като LOPMI). Той никого не задължава да купува киберзастраховка: той поставя условие за получаване на плащане, когато договорът вече покрива кибератаки.
Информационен лист на Министерството на вътрешните работи, разпространяван чрез Cybermalveillance.gouv.fr, националната платформа на Франция за жертвите на киберзлоупотреби, напомня на професионалните жертви, че законът от 2023 г. ги задължава да подадат сигнал, за да запазят правото си на обезщетение по застрахователния си договор, в срок от 72 часа след като са научили за атаката. Той също така включва активирането на процеса по застрахователно обезщетение сред причините да се подаде сигнал.
Агенцията на Европейския съюз за киберсигурност (ENISA) публикува „Cyber Insurance - Models and methods and the use of AI“ на 21 февруари 2024 г. Заявената ѝ цел е да представи киберриска и киберзастраховането, да даде преглед на съществуващите изследователски и моделиращи подходи и да установи пропуските за бъдещи изследвания. Това е полезен фон за това защо застрахователите се опитват да оценят състоянието на сигурността на компаниите, които покриват.
За субектите в неговия обхват член 21 от Директива (ЕС) 2022/2555 (NIS2) изброява мерки за управление на киберсигурностните рискове, които включват управление на инциденти, непрекъснатост на дейността, като управление на резервните копия и възстановяване след бедствие, основна кибер хигиена и обучение, контрол на достъпа и използване на многофакторно удостоверяване. Дори извън NIS2, припокриването с темите на застрахователите означава, че доказателствата, които събирате за едното, служат и на другото.
ANSSI, националната агенция за киберсигурност на Франция, и AMRAE, френската асоциация на мениджърите по риска и застраховането, публикуваха ръководство за ръководители „Controlling the digital risk - the trust advantage“, налично на английски и на френски. То представя управлението на цифровия риск като поетапен подход за организации с всякакъв размер, което е точно рамката, в която трябва да се чете въпросникът на един застраховател.
Член 32 от ОРЗД изисква подходящи технически и организационни мерки, включително, когато е уместно, способност за своевременно възстановяване на наличността на личните данни след инцидент и процес за редовно тестване и оценка на ефективността на тези мерки. Резервните копия, тестовете за възстановяване и контролът на достъпа затова имат значение далеч извън вашия застрахователно досие.
Извън Франция: правилото за 72-часовия сигнал по-горе е френски закон. Други държави имат собствени правила за застраховането и за докладването на киберпрестъпления, а договорът ви може да определя собствени срокове за уведомяване. Проверете ги с вашия брокер, застраховател или правен консултант. Тази страница има информативен характер и не е правен съвет.
Какво съдържа всяка опция. Наличността и условията ще бъдат публикувани при отварянето на услугата.
Кандидатствате за киберзастраховка или попълвате раздел за ИТ сигурност за първи път.
Въпросникът се връща с подновяването ви, а ИТ средата ви се е променила от миналата година.
Нов формуляр, с различна формулировка, но пита за същите контроли.
Кратки отговори, с официалния източник там, където има правило.
Консултирани на 13 октомври 2026 г. Когато даден текст е на френски, преводът на тази страница е наш и неофициален.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender и Purview са търговски марки на Microsoft. Те се цитират само за да назоват функциите, от които се четат доказателства. SYAGA Consulting не е свързана с Microsoft, с ENISA, с ANSSI или с който и да е застраховател.
Пътят на самообслужване се подготвя. Въпроси междувременно: contact@syaga.eu
Работна основа, а не правен съвет. Окончателната декларация пред вашия застраховател и нейната точност остават ваша отговорност.